Debian 上确保 Filebeat 安全的实用清单
一 身份与访问控制
- 使用具备最小权限的专用系统用户运行 Filebeat，禁止交互式登录，并将配置与数据目录归属该用户，例如创建用户并设置目录权限为仅属主可读写执行（如 750）。
- 为输出目标启用强认证：对接 Elasticsearch 时开启 xpack.security，为 Filebeat 创建最小权限专用角色（仅允许写入目标索引、禁止读取敏感索引和管理操作），并使用 用户名/密码 或更安全的 API Key/Token。
- 若经由 Logstash 中转，同样为其启用认证与授权，避免开放匿名写入。
- 建议将密钥等机密托管在 HashiCorp Vault 等密钥管理服务中，运行时注入，避免明文存放。
二 传输与网络加密
- 全链路启用 TLS/SSL：
- Filebeat → Elasticsearch：在输出段启用 ssl.enabled: true，正确配置 ssl.certificate 与 ssl.key（或信任库/密钥库），确保证书由受信 CA 签发并校验证书链。
- Elasticsearch 端：启用 xpack.security.http.ssl.enabled: true 与 xpack.security.transport.ssl.enabled: true，并设置 verification_mode: certificate，指向有效的 keystore/truststore。
- 网络边界与主机防火墙：仅放通必要流量，例如 Logstash 5044、Elasticsearch 9200（或集群内网段）、以及 SSH 22；使用 iptables/ufw 持久化规则，减少攻击面。
- 架构侧建议将日志收集网段与服务网段隔离，必要时通过 VPC/VLAN 或安全组策略限制源/目的地址。
三 配置与文件权限
- 保护配置文件与密钥：设置 /etc/filebeat/filebeat.yml 权限为 750，属主为 filebeat；证书与密钥文件权限 600，仅属主可读写；禁止在配置中硬编码明文密码，优先使用密钥管理服务或受控的凭据注入机制。
- 精简与锁定配置：禁用不需要的模块与功能，例如不需要时关闭 ILM（如设置 setup.ilm.enabled: false）；将模块目录加载设为只读或禁用热加载（如 filebeat.config.modules.reload.enabled: false），降低被篡改风险。
- 日志与运行状态：将 Filebeat 自身日志写入受控目录（如 /var/log/filebeat/），并设置合适的保留与权限，便于审计与故障排查。
四 运行监控与维护
- 持续更新 Filebeat 及相关组件（Elasticsearch/Logstash/Kibana）至包含最新安全修复的版本，及时修补已知漏洞。
- 启用并审查 Filebeat 自身日志，结合 systemd 状态与日志轮转，监控异常重启、连接失败、认证错误等安全事件；必要时对接 Prometheus/Grafana 进行指标可视化与告警。
五 最小化采集与快速加固示例
- 最小化采集范围：仅收集必要的日志路径与事件，避免使用通配符过度采集；对输入启用 ignore_older 等参数，减少不必要历史数据摄入。
- 快速加固示例（示例路径与凭据请按实际替换）：
- 创建专用用户与目录权限：
- sudo useradd -r -s /usr/sbin/nologin filebeat
- sudo chown -R filebeat:filebeat /etc/filebeat /var/log/filebeat
- sudo chmod 750 /etc/filebeat /var/log/filebeat
- 配置输出到 Elasticsearch 使用 TLS 与凭据（示例）：
- output.elasticsearch:
- hosts: [“elasticsearch-secure:9200”]
- username: “filebeat_writer”
- password: “<从 Vault/Ansible 等安全渠道注入>”
- ssl.enabled: true
- ssl.certificate: /etc/ssl/certs/elasticsearch-ca.crt
- ssl.key: /etc/ssl/private/filebeat.key
- ssl.verification_mode: certificate
- 防火墙仅放通必要端口（示例）：
- sudo ufw allow 22/tcp
- sudo ufw allow 5044/tcp
- sudo ufw allow from 10.0.0.0/8 to any port 9200
- 验证与重启：
- sudo filebeat test output
- sudo systemctl restart filebeat && sudo systemctl status filebeat